El modo seguro para eliminar malware: por qué ayuda y cuándo no

A mitad de casi cualquier guía de eliminación - incluidas las de este sitio - hay una línea que te dice que reinicies en modo seguro. Es un buen consejo. Y casi nunca se explica, lo que hace difícil saber qué hacer cuando no funciona.

Qué cambia realmente el modo seguro

La descripción de Microsoft es breve y exacta: «el modo seguro inicia Windows en un estado básico, usando un conjunto limitado de archivos y controladores».

Ese es todo el mecanismo. Windows arranca normalmente una larga lista de servicios, controladores y programas de inicio. En modo seguro arranca solo un pequeño subconjunto: lo justo para que el sistema funcione, y poco más.

La consecuencia para el malware es directa. Buena parte de él sobrevive a un reinicio arreglándoselas para iniciarse con Windows: una clave Run del registro, una tarea programada, un servicio, una entrada en la carpeta de inicio. En modo seguro, la mayoría de esas rutas de arranque sencillamente no se procesan. El archivo sigue en el disco, pero no se está ejecutando - y un proceso que no se ejecuta no puede defenderse, no puede recrear los archivos que borras y no puede bloquear tu antivirus.

Ese es todo el beneficio: no una eliminación, un desarme.

El modo seguro con funciones de red, y cuándo quererlo

El menú ofrece dos versiones, y la diferencia importa. Microsoft: «el modo seguro con funciones de red añade los controladores y servicios de red que necesitarás para acceder a internet y a otros equipos de tu red».

El modo seguro simple es el más aislado de los dos. Elígelo cuando ya tengas en el equipo la herramienta que necesitas, y cuando prefieras que nada en el sistema pueda alcanzar la red.

El modo con funciones de red es el que quieres cuando el antivirus debe descargar definiciones, o cuando no has traído la herramienta contigo. A cambio, la red queda disponible para cualquier otra cosa que pueda estar presente: es la opción menos prudente.

Por qué a veces no cambia nada

Esta es la parte que las guías se saltan, y es la razón para entender el mecanismo en vez de repetir el paso.

No toda la persistencia pasa por las rutas de arranque que el modo seguro omite. Algo cargado por un controlador que el modo seguro todavía necesita, o enganchado a un componente que siempre arranca, se iniciará igualmente. El código a nivel de firmware o de bootkit es indiferente al modo de Windows elegido: se ejecutó antes que Windows.

Algunos programas maliciosos están escritos para sobrevivirlo deliberadamente. Windows mantiene una lista de lo que tiene permiso para iniciarse en modo seguro, y una infección con privilegios suficientes puede añadirse a esa lista. Cuando lo hace, el modo seguro no te aporta exactamente nada.

Y el modo seguro no elimina nada por sí mismo. Es un estado en el que eliminar resulta más fácil, no un paso de eliminación. Entrar y volver a salir no cambia absolutamente nada.

La lectura honesta es, por tanto: si un análisis en modo seguro encuentra y retira la cosa, estupendo. Si la misma detección vuelve tras una limpieza en modo seguro, eso es una señal: la persistencia está donde el modo seguro no llega, y repetir el paso no te llevará más lejos.

Cuando el equipo no quiere salir del modo seguro

Es una situación frecuente y de aspecto alarmante, con una causa de lo más mundana.

Normalmente, «reiniciar el dispositivo debería bastar para salir del modo seguro y volver al modo normal». Cuando no basta, el motivo habitual es que quedó marcada una casilla Arranque a prueba de errores en la pestaña Arranque de msconfig - por una herramienta, por una sesión de diagnóstico anterior, o por ti. Desmarcarla y reiniciar lo resuelve.

Conviene saberlo antes de que ocurra, porque un equipo que vuelve una y otra vez al modo seguro tras una limpieza parece exactamente una infección que no muere, y normalmente no lo es.

En resumen

El modo seguro inicia Windows con un conjunto limitado de archivos y controladores, lo que impide que la mayoría del malware se ejecute y lo vuelve eliminable. No elimina nada por sí mismo, no alcanza la persistencia que vive fuera de las rutas de arranque habituales, y una infección bien escrita puede arreglárselas para iniciarse igualmente en él. Úsalo como el estado en el que analizas, y lee una detección que reaparece como la señal de que el problema está en otra parte.

La descripción del modo seguro, la distinción con las funciones de red y el procedimiento de salida incluyendo la casilla de arranque a prueba de errores de msconfig proceden de la documentación de soporte de Microsoft, consultada al momento de escribir. Los enlaces comerciales llevan el atributo rel=“sponsored nofollow”; puede aplicarse una comisión de afiliación sin coste adicional para ti.